Acea remediere de securitate OpenVPN are legătură cu instalarea ta?

Sfatul de a aplica un patch clientului pentru ca acesta să valideze certificate este prea vag pentru a acționa. Poate descrie un defect de software deja remediat, o compilare veche a unui singur furnizor sau un profil care nu a cerut niciodată verificarea. Sunt trei modificări diferite cu trei proprietari diferiți. A acționa pe baza acelei fraze fără să știi pe care dintre ele o ai în față este modul în care un client funcțional este modificat fără motiv.

Separă cele trei afirmații

Un defect de software are un aviz, versiuni afectate și o versiune remediată. O compilare de furnizor are propriul canal de distribuție și propriul ritm de actualizare. O omisiune din profil nu are niciuna, pentru că executabilul este în regulă, iar configurația cere mai puțin decât ai presupus. Până când afirmația nu numește una dintre cele trei, nu este nimic de testat.

Scrie afirmația într-o singură propoziție înainte de a o căuta. Dacă propoziția nu poate numi ce este stricat, căutarea nu are țintă și fiecare rezultat pare relevant.

Găsește executabilul care chiar rulează

Identifică ce pornește conexiunea înainte de a te uita la orice versiune. Un serviciu de distribuție, un plugin de desktop și o aplicație de furnizor pot folosi fiecare alt executabil sau alt motor. Versiunea afișată de orice binar care se întâmplă să fie în calea de căutare a shell-ului nu este un inventar al mașinii. Citește unitatea sau procesul care a realizat efectiv conexiunea.

systemctl cat openvpn-client@*.service
ps -o pid,cmd -C openvpn
apt-cache policy openvpn network-manager-openvpn

Interogarea pachetului raportează ce cred metadatele locale că este instalat și disponibil, iar acel cache poate fi învechit, așa că reîmprospătează-l mai întâi. De asemenea, nu spune nimic despre dacă serviciul care rulează a încărcat un binar instalat acum cinci minute. Compară înregistrarea pachetului cu procesul care este efectiv conectat.

Dovezi din pachet în loc de impresii despre versiune

Întreținerea de securitate a distribuțiilor aduce adesea remedieri înapoi, așa că o versiune upstream care pare mai veche poate conține încă patch-ul. Este valabil și invers: un pachet dintr-un depozit necunoscut nu are nicio pretenție automată la întreținerea curentă. Citește starea de suport a versiunii, nu numărul versiunii.

Acea distincție este diferența dintre o lacună reală și un număr care doar pare vechi. Notează depozitul din care a venit pachetul, pentru că același șir de versiune poate sosi prin canale foarte diferite cu suport foarte diferit.

Configurația este cealaltă jumătate

Un executabil întreținut are în continuare nevoie de un profil care să ceară verificările pe care crezi că sunt în vigoare. Ancora de încredere, rolul intenționat al celeilalte părți și numele de server așteptat sunt decizii legate, dar separate. O verificare de rol nu este o verificare de nume, iar niciuna nu o înlocuiește pe cealaltă. Dacă avertismentul este despre configurație, remedierea aparține celui care deține profilul.

Nu instala un patch arbitrar pentru a compensa un profil neverificat și nu adăuga o directivă pentru a repara un defect real de implementare. Ambele greșeli par progres, de aceea ambele continuă să apară.

Decide cu dovezi în registru

Decizia decurge din ceea ce ai stabilit. Un pachet afectat documentat cere actualizarea sa acceptată, o platformă neacceptată are nevoie de o cale de migrare, iar un client de furnizor are nevoie de îndrumarea acelui furnizor. O instrucțiune ambiguă are nevoie de un aviz și de o componentă afectată înainte ca vreuna dintre acestea să se aplice.

Ține clientul activ, versiunea completă, avizul și proprietarul profilului împreună în registrul modificărilor. Este mai puternic decât o referință la un tutorial și este ceea ce va avea nevoie cu adevărat următoarea persoană.